EU 사이버 복원력법 자주 묻는 질문

예. CRA의 적용 범위 조건을 충족하면 해당됩니다. 디지털 요소 제품은 소프트웨어, 하드웨어, 제품의 일부를 이루는 원격 데이터 처리 솔루션, 또는 별도로 시장에 출시되는 소프트웨어나 하드웨어 구성요소일 수 있습니다.

제품으로 공급되는 소프트웨어는 CRA의 정의와 시장 조건을 충족하면 적용 대상이 될 수 있습니다. 여기에는 독립형 애플리케이션과 펌웨어가 포함됩니다. 개발 도구와 소프트웨어 구성요소도 이름만으로 판단하지 말고 동일한 적용 범위 조건을 적용해야 합니다.

자세한 내용은 적용 대상 제품.

독립형 SaaS 또는 제조업체의 책임 범위 밖에서 개발된 클라우드 서비스가 자동으로 디지털 요소 제품이 되는 것은 아닙니다. 클라우드 기능은 원격 데이터 처리의 정의를 충족하는 경우 CRA상 관련이 있습니다.

원격 데이터 처리는 원거리에서 수행되고, 제품이 기능 중 하나를 수행하는 데 필요하며, 해당 처리 소프트웨어를 제조업체가 설계·개발했거나 제조업체의 책임하에 설계·개발한 경우 제품의 일부가 됩니다.

자세한 내용은 적용 대상 제품.

아니요. CRA는 단순히 인터넷에 접속할 수 있는지를 기준으로 삼지 않고 데이터 연결 개념을 사용합니다. 연결은 논리적·물리적일 수 있으며 직접 또는 간접으로 이루어질 수 있습니다.

관련 예시는 다음과 같습니다:

• 논리적 연결은 API, 네트워크 소켓, 파이프, 파일, 브라우저의 HTTPS 세션 또는 이메일 프로토콜을 통한 연결을 포함합니다;
• 물리적 연결은 USB, Ethernet, 광섬유, 필드버스, Wi-Fi, Bluetooth, NFC 또는 기타 무선 링크를 통한 연결을 포함합니다;
• 간접 연결은 자체적으로 장치나 네트워크에 연결할 수 있는 호스트 시스템을 거치는 연결을 말합니다.

자세한 내용은 적용 대상 제품.

대체로 그렇지 않습니다. 블루 가이드에 따르면 제품을 자체 사용을 위해 제조하는 경우에는 시장 출시가 이루어지지 않습니다. 유럽위원회 FAQ는 제조업체가 자체 사용을 위해 만든 개발 및 구성 도구와 같은 CRA 사례에도 이 원칙을 적용합니다.

해당 도구를 나중에 별도 제품으로 시장에 출시하면 답이 달라집니다. 이 경우 다른 디지털 요소 소프트웨어 또는 하드웨어 제품과 동일하게 평가해야 합니다.

자세한 내용은 시장 출시.

2027년 12월 11일 전에 시장에 출시된 제품은 그 날짜가 도래했다는 이유만으로 CRA 전체 요구사항의 적용을 받지 않습니다. 다만 해당 날짜부터 중대한 변경을 거치면 그 요구사항의 적용을 받습니다.

제14조 보고는 다릅니다. CRA 적용 범위에 포함되는 디지털 요소 제품에는 2026년 9월 11일부터 보고 의무가 적용되며, 여기에는 2027년 12월 11일 전에 시장에 출시된 제품도 포함됩니다.

자세한 내용은 시장 출시 및 취약점 보고.

유럽위원회 FAQ는 이미 시장에 출시된 제품과 새로 시장에 출시되는 제품을 구분합니다. 이미 시장에 출시한 제품은 신고된 지원 기간이 만료된 뒤에도 계속 공급할 수 있습니다.

새로 출시하는 제품은 다릅니다. 제조업체가 추가 수량을 시장에 출시하는 경우, 제13조 제8항에 따라 해당 제품의 지원 기간을 정해야 합니다.

자세한 내용은 지원 기간.

아니요. 무료로 공급된다는 사실만으로 적용 여부가 결정되지는 않습니다. CRA는 비상업적 무료·오픈소스 개발과 상업적 활동으로 시장에 출시되는 소프트웨어를 구분합니다.

2026년 7월 지침은 소프트웨어 또는 유지보수에 대한 유료 접근과 무료로 제공되는 소프트웨어 주변의 선택적 서비스를 구분합니다. 유료 에디션은 상업적 공급이 될 수 있지만, 선택적 컨설팅만으로 무료 버전이 상업적 공급이 되지는 않습니다. 소프트웨어를 통해 서비스를 수익화하거나, 사용 조건으로서 소프트웨어의 보안·호환성·상호운용성을 개선하는 범위를 넘어서는 개인정보 처리를 요구하는 경우에도 상업적 공급이 될 수 있습니다.

자세한 내용은 역할 및 의무 및 적용 대상 제품.

예. 다만 제4조 제3항의 시험 규칙을 따라야 합니다. 소프트웨어는 시험에 필요한 제한된 기간에만 제공해야 하며, CRA를 준수하지 않고 시험 외의 목적으로는 제공되지 않는다는 점을 눈에 띄게 표시해야 합니다.

유럽위원회 FAQ는 전문 37도 참조합니다. 제조업체는 위험 평가를 수행한 뒤에만 해당 소프트웨어를 배포해야 하며, 가능한 범위에서 보안 및 취약점 처리 요구사항을 충족해야 합니다.

예. 제13조 제11항은 사용자의 과거 버전 접근성을 높이는 공개 소프트웨어 보관소를 허용합니다. 지원되지 않는 소프트웨어의 위험에 대해 사용자가 쉽게 확인할 수 있도록 명확히 알려야 합니다.

보관소는 적극적인 지원과 다릅니다. 사용자가 보관된 버전이 더 이상 지원되지 않고 보안 위험을 수반한다는 점을 이해할 수 있는지가 핵심입니다.

아니요. 유럽위원회 FAQ는 CRA가 제조업체에 제품의 모든 취약점을 없애도록 요구하지 않는다고 설명합니다.

시장 출시 시점에 관련되는 부속서 I 요구사항은 알려진 악용 가능한 취약점에 관한 것입니다. 이는 제조업체의 사이버보안 위험 평가와 해당 시점에 이용 가능한 사실을 바탕으로 판단합니다.

자세한 내용은 필수 사이버보안 요구사항 및 사이버보안 위험 평가.

아니요. 제조업체는 취약점이 제품과 관련이 있는지, 어떤 위험을 초래하는지 평가해야 합니다. 조치는 해당 위험에 부합해야 합니다.

조치로 패치를 적용할 수 있지만, 보안 권고, 구성 지침, 우회 방법, 사용자 정보 갱신 또는 후속 소프트웨어 업데이트와 같은 다른 수단도 가능합니다. CRA는 디지털 요소 제품에 초래되는 위험을 고려하여 지체 없이 취약점을 처리하고 시정하도록 요구합니다.

자세한 내용은 취약점 처리 기록.

아니요. 5년은 최소한의 보호 기준이지 모든 제품에 적용되는 기본값은 아닙니다. 제품이 더 오래 사용될 것으로 합리적으로 예상되면 더 긴 지원 기간이 필요할 수 있습니다.

5년보다 짧은 지원 기간은 제품이 5년 미만 사용될 것으로 예상되는 경우에만 허용됩니다. 이 경우 지원 기간은 예상 사용 기간에 상응합니다.

자세한 내용은 지원 기간.

제조업체는 자사 제품에 포함된 실제 악용 중인 취약점을 보고합니다. 취약점이 통합된 구성요소에서 비롯되고 해당 제품에서 악용될 수 있다면 제품 제조업체가 보고합니다. 구성요소가 자체 제품으로 시장에 출시된 경우 구성요소 제조업체도 보고합니다.

구성요소의 취약점을 제조업체 제품에서 악용할 수 없다면, 그 사유만으로는 제14조의 의무 보고가 발동되지 않습니다. 다만 제조업체에게 공급망 상류와의 조정 또는 취약점 처리 의무가 있을 수 있습니다.

자세한 내용은 취약점 보고.

아니요. 유럽위원회 FAQ에 따르면 제조업체는 CE 마킹이 없는 구성요소도 통합할 수 있습니다. 여기에는 시장에 출시되지 않은 구성요소와 CRA가 적용되기 전에 시장에 출시된 구성요소가 포함됩니다.

그럼에도 제조업체는 구성요소가 최종 제품의 사이버보안을 저해하지 않도록 상당한 주의를 기울여야 합니다.

자세한 내용은 SBOM 및 구성요소 기록.

일반적으로 그렇지 않습니다. 유럽위원회 FAQ에 따르면 기술 문서를 고객이나 일반 대중에게 제공해야 하는 일반적인 의무는 없습니다.

중요한 예외는 제조업체가 제32조 제5항에 따른 자체 평가를 이용하려는 경우의 부속서 III 클래스 I 또는 클래스 II 오픈소스 소프트웨어입니다. 이 경우 기술 문서를 공개해야 합니다.

자세한 내용은 기술 문서 및 적합성 평가.

아니요. 표준 초안은 준비 자료로 유용할 수 있지만 제27조에 따른 적합성 추정을 발생시키지는 않습니다. 적합성 추정은 해당 참조 정보가 유럽연합 관보에 게재된 조화 표준에 따라 결정됩니다.

prEN 40000 초안과 제품별 표준 초안에도 동일한 구분이 적용됩니다. 제조업체는 공개·인용 상태를 별도로 확인하면서 초안을 증거 준비에 활용할 수 있습니다.

자세한 내용은 조화 표준 및 적합성 추정.